Auditoría de Código: ¿Herramientas Gratis o de Pago? ¿Cuál Encuentra las Vulnerabilidades?

Las aseguradoras corporativas no aceptan los reportes de herramientas automáticas como 'auditoría de código'. Los escáneres automáticos solo sirven para guiar al desarrollador durante la fase de desarrollo. El documento que le vas a dar a tu cliente debe ser un informe donde un experto haya revisado la arquitectura y lo haya firmado; no te gastes miles de euros en herramientas.

Añade mañana mismo a tu integración continua un verificador de dependencias open source y un escáner de código estático. Limpia todas las alertas críticas y de nivel alto que salgan. Una vez que tu código base esté limpio, solicita a un experto externo un test de penetración enfocado de dos días.

La diferencia entre las dos herramientas se resume en tres puntos: 1) Falsos positivos: Las gratuitas marcan demasiadas líneas inofensivas como error; las de pago rastrean el flujo de datos y los filtran. 2) Informe de cumplimiento: Las de pago generan informes corporativos conformes a los estándares con un solo clic. 3) Profundidad: Ninguna de las dos detecta fallos en la lógica de negocio, solo analizan patrones de código.

El año pasado escaneamos nuestro módulo de almacenamiento de 50 mil líneas tanto con una herramienta popular de línea de comandos de código abierto como con la herramienta corporativa de 12.000 euros anuales que trajo el cliente. La de código abierto encontró 14 vulnerabilidades críticas, la de pago encontró 11 (3 de las cuales eran falsos positivos). La diferencia definitivamente no vale lo que cuesta.

El marketing de las "plataformas de seguridad de pago" del mercado se basa puramente en el miedo corporativo. En el fondo, lo que hacen la mayoría de estas herramientas es recopilar reglas de código abierto y presentarlas en una interfaz web bonita. Si tus desarrolladores no tienen conciencia de seguridad, ni la herramienta más cara podrá proteger el sistema.

con instalar escáneres de dependencias de códiigo abierto en el repo alcanza. total la mayoría de los fallos no salen del código q escribes tú sino de las librerías externas q metes al proyecto.

nosotros también entramos en pánico en nuestro primer contrato corporativo y pillamos la prueba mensual de un escáner carísimo. 190 de las 200 páginas del informe resultante eran avisos absurdos sobre variables, y no pudimos explicarle nada al cliente... una auditoría sencilla y verificada a mano siempre tiene más valor.

Te gastas 15.000 euros al año en una herramienta corporativa, termina el escaneo y te dice "sistema limpio"; luego, como el becario se olvidó de poner la verificación del ID de usuario al principio de la función que genera la factura, se filtra toda la base de datos. Busquen la seguridad en la cultura de revisión de código, no en una herramienta.

Lo probaré. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Corrijanme si me equivoco.

Totalmente. Si tuviera que añadir algo más: La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Soy una pequeña empresa, os lo cuento desde mi lado. Todos los que se apresuran con herramienta de análisis de código se atascan en el mismo punto.

Lo dejo como nota, por si sirve.

Hay una cosa a la que hay que prestar atención. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Todos los que se apresuran con herramienta de análisis de código se atascan en el mismo punto. Yo seguiría por ese camino.

correcto luego la respuesta varía mucoh según el sector, no hay una regla general.

lo dejo como nota por si sirve.

resumen breve para nuevos usuarios: No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

esta es mi opinión, no lo escribo como una verdad absoluta.

Voy a defender lo contrario, no se molesten. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Ánimo.

Gracias por escribir.

No sabía eso.

Aquí tengo una objeción. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Comprobado por experiencia.